Consigues por fin un cliente grande, de los que cambian el año, y a los pocos días te llega un archivo adjunto con decenas de preguntas: cómo proteges los datos personales, dónde guardas la información, qué haces si hay un incidente de seguridad, si tienes un código ético, cómo tratas a tu plantilla, qué subcontratas. Te piden que lo rellenes "a la mayor brevedad" y que lo firme alguien con poder para ello. Tú tienes un negocio que funciona, pero nunca lo habías descrito en esos términos.
Ese cuestionario no es un capricho. Las empresas grandes tienen que demostrar, ante sus propios clientes, auditores y reguladores, que controlan a los proveedores con los que trabajan. Así que todos pasan por el mismo filtro. Y lo más curioso es que, cuando has contestado uno, el siguiente se parece muchísimo. Ahí es donde un agente de IA puede quitarte trabajo sin quitarte responsabilidad.
Qué te piden y por qué
Aunque cada cliente lo redacte a su manera, las preguntas suelen caer en los mismos bloques:
- Privacidad y protección de datos. Qué datos personales tratas, con qué base legal, quién accede, con quién los compartes, dónde se guardan, cómo atiendes los derechos de las personas, qué ocurre ante una brecha.
- Seguridad de la información. Cómo proteges los equipos y las cuentas, quién tiene acceso a qué, si haces copias de seguridad, qué plan tienes ante un incidente.
- Ética y conducta. Si tienes un código de conducta, cómo evitas conflictos de interés, qué política tienes sobre regalos o sobornos, cómo se denuncian irregularidades.
- Personas y condiciones de trabajo. Prevención de riesgos laborales, igualdad, subcontratación.
- Continuidad del negocio y seguros. Qué pasa si tu actividad se interrumpe, qué cobertura tienes.
Algunas preguntas se responden con un sí o un no; otras piden una explicación o un documento de respaldo.
El problema: cada cuestionario parece nuevo y casi nunca lo es
Las preguntas cambian de orden y de palabras, pero la información de fondo es la misma. Sin embargo, cada vez alguien vuelve a buscar la política de privacidad, pregunta a quien lleva los sistemas dónde están las copias, revisa qué contrato de encargo de datos se firmó con cada proveedor. Cada respuesta cuesta esfuerzo porque hay que reconstruir lo que ya se sabía.
Las grandes lo resuelven con una biblioteca interna de respuestas aprobadas. Cuando llega un cuestionario, no empiezan de cero: buscan en la biblioteca, adaptan y solo preguntan lo que no está. Una pyme puede tener su propia versión pequeña, y esa es la base de todo.
El banco de respuestas aprobadas
Es un documento vivo, con cada pregunta tipo y la respuesta que tu empresa da, redactada con cuidado. Cada respuesta debería llevar cuatro cosas:
- La respuesta, en lenguaje claro y verificable.
- Quién la ha aprobado (dirección, responsable de sistemas, abogado).
- La fecha de la última revisión, para saber si sigue siendo cierta.
- El documento de apoyo, si lo hay: política de privacidad, contrato, procedimiento interno.
Montar este banco lleva un esfuerzo la primera vez, y ahí el agente ayuda: reúne tus documentos, propone redacciones a partir de ellos y marca las preguntas para las que no encuentra respuesta. Tú y las personas responsables las completan y las aprueban.
Cómo trabaja el agente con un cuestionario nuevo
Cuando llega un cuestionario, el proceso sería este:
- Lee el cuestionario y extrae las preguntas, ya venga en hoja de cálculo, documento o portal.
- Busca en el banco la respuesta más parecida a cada una.
- Rellena un primer borrador con esas respuestas y marca en un color distinto las dudosas.
- Señala las preguntas nuevas que no están en el banco y nadie ha contestado antes.
- Te entrega el borrador con una nota de cuáles son seguras, cuáles son adaptaciones y cuáles faltan.
Lo que te llega es un borrador, nunca un documento terminado. Y las respuestas de las preguntas nuevas, una vez revisadas, se incorporan al banco para la próxima vez.
Quién revisa qué
Este es el reparto que recomendamos, porque cada persona responde de lo suyo:
- La dirección revisa el conjunto, comprueba que lo que se afirma es cierto y firma. Quien firma se responsabiliza de lo que dice el documento, así que no firma sin leerlo.
- Quien lleva los sistemas o la informática, sea interno o externo, verifica las respuestas de seguridad: copias, accesos, protección de equipos.
- El abogado o asesor en protección de datos verifica todo lo jurídico: bases legales, contratos con proveedores, derechos de las personas, compromisos contractuales y cualquier cláusula que el cliente proponga.
- Administración o recursos humanos revisan lo relativo a personal y condiciones de trabajo.
El agente no sustituye a ninguno. Es quien prepara el material para que cada uno revise su parte sin empezar desde cero.
Lo que el agente nunca debe hacer
Este es el punto más delicado, y la diferencia entre ayudarte y meterte en un problema:
- No contesta "sí" por defecto. Si no encuentra la respuesta, la deja en blanco y avisa. Una respuesta vacía se arregla; una afirmación falsa puede costarte el contrato.
- No inventa certificaciones, políticas ni procedimientos que no tengas. Si no tienes una certificación, no puede aparecer en el cuestionario.
- No decide cómo interpretar una pregunta con implicaciones jurídicas. Eso es cosa del abogado.
- No firma ni envía nada. Lo hace la persona con poder para ello.
- No comparte documentos internos con nadie sin que tú lo indiques.
Recuerda que lo que respondes en un cuestionario suele convertirse en una declaración contractual. Si luego resulta que no era cierto, el problema no es del agente: es tuyo.
Qué cuidar con los datos
El banco de respuestas puede contener información sensible sobre tu empresa: cómo proteges tus sistemas, con quién trabajas, qué incidentes has tenido. Conviene guardarlo con acceso restringido, y que el proveedor del agente tenga un contrato contigo que fije cómo trata esa información y dónde la almacena. Si el cuestionario te pide datos personales de empleados o de clientes, compártelos solo en lo estrictamente necesario.
Cómo empezar con algo pequeño
Coge el último cuestionario que hayas rellenado, o uno que te hayan enviado, y usa tus respuestas como punto de partida del banco. Pide al agente que lo ordene por temas, detecte qué preguntas se repetirían en otros cuestionarios y te muestre qué respuestas dependen de documentos que no tienes a mano. Con dos o tres cuestionarios, tu banco estará suficientemente completo para acelerar los siguientes.
Si quieres profundizar en la parte documental, tienes una guía sobre cómo documentar el uso de IA para superar una auditoría de protección de datos, otra sobre cómo evaluar la seguridad de un proveedor de software (útil para ver las preguntas desde el otro lado) y un checklist de cumplimiento del AI Act para pymes.
Conclusión
Los grandes clientes envían cuestionarios de privacidad, seguridad y ética porque necesitan controlar a sus proveedores, y esas preguntas se repiten de un cliente a otro. Con un banco de respuestas aprobadas y un agente que rellena el primer borrador, contestar deja de ser empezar desde cero. La dirección revisa y firma, quien lleva los sistemas comprueba la parte técnica y el abogado verifica lo jurídico: el agente prepara, las personas responden.
En MG Solutions construimos agentes de IA específicos para cada empresa, adaptados a tu forma de trabajar y a tus herramientas, no una plantilla genérica.
Si quieres ver cómo encajaría en tu empresa, escríbenos y lo hablamos.